Неизвестная запись в System/Scheduler
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
Мне нужен извне только PPTP ну и интернет
Как дропнуть все остальное?
А то, что мы закрыли все порты кроме тех, что нужны для PPTP. это не то что Вы имеете ввиду (разрешить то, что нужно, а затем дропнуть вообще всё (независимо от интерфейсов и другого).
Как дропнуть все остальное?
А то, что мы закрыли все порты кроме тех, что нужны для PPTP. это не то что Вы имеете ввиду (разрешить то, что нужно, а затем дропнуть вообще всё (независимо от интерфейсов и другого).
-
- Сообщения: 3915
- Зарегистрирован: 29 фев 2016, 15:26
- Откуда: Минск
Re: Неизвестная запись в System/Scheduler
Код: Выделить всё
/ip firewall filter add chain=input action=drop
Нет. У вас сейчас настроено:
1) Разрешить через ether1 подключение по PPTP, остальное с ether1 дропнуть
2) Разрешить через ether9 подключение по PPTP, остальное с ether9 дропнуть
3) Всё остальное по умолчанию разрешено
Под третий пункт попадает как ваша локалка, так и ваш PPTP. И любой другой интерфейс, который может быть задействован в будущем под WAN.
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
Мне получается нужно разместить это правила самим последним?
Все таки запутался. Если на wan ether1 и ether9 разрешено только PPTP а все остальное дропнуть то зачем делать что то еще так как остается только локалка?
Из того что прочитал вот тут о стандартных правилх Firewall https://weblance.com.ua/365-posledstviy ... nosti.html я сделал вот так:
https://prnt.sc/mh3vyn
Правильно ли я сделал, проверьте пожалуйста правильность и очередность выполняемых правил.
Также после внесения изменений по ether9-WAN-E очень сильно упала скорость по кабелю. Нарузки на роутер нет.
Методом исключения (выключения всех и поочередно включением правил) выяснил, что скорость режет вот это правило (на данный момент я его отключил).
Спасибо
Код: Выделить всё
/ip firewall filter add chain=input action=drop
Из того что прочитал вот тут о стандартных правилх Firewall https://weblance.com.ua/365-posledstviy ... nosti.html я сделал вот так:
Код: Выделить всё
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related" \
connection-state=established,related
add action=accept chain=forward in-interface=bridge1-NET-V out-interface=\
bridge2-NET-E
add action=accept chain=forward in-interface=bridge2-NET-E out-interface=\
bridge1-NET-V
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V \
protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E \
protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=ether9-WAN-E
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface=ether9-WAN-E
Правильно ли я сделал, проверьте пожалуйста правильность и очередность выполняемых правил.
Также после внесения изменений по ether9-WAN-E очень сильно упала скорость по кабелю. Нарузки на роутер нет.
Методом исключения (выключения всех и поочередно включением правил) выяснил, что скорость режет вот это правило (на данный момент я его отключил).
Код: Выделить всё
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related
-
- Сообщения: 3915
- Зарегистрирован: 29 фев 2016, 15:26
- Откуда: Минск
Re: Неизвестная запись в System/Scheduler
У вас три дырки в Интернет (ether1, ether9 и PPTP). По умолчанию всё разрешено, но две из них (ether1 и ether9) вы заткнули. Угадайте, почему третья дырка осталась открытой. Спойлер: потому что вы не добавили то правило, которое я вам дал.
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
Вот так, есть значение полследовательность всех этих правел? В такой последовательности и внесении вашего последнего правила из спойлера что вы мне давали, в бридже ether9-WAN-E пропадает интернет!
В ether1-WAN-V интернет есть!
Код: Выделить всё
/ip firewall filter
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=accept chain=input comment="defconf: accept established,related" \
connection-state=established,related
add action=reject chain=forward in-interface=bridge1-NET-V out-interface=\
bridge2-NET-E reject-with=icmp-network-unreachable
add action=reject chain=forward in-interface=bridge2-NET-E out-interface=\
bridge1-NET-V reject-with=icmp-network-unreachable
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V \
protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E \
protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=ether9-WAN-E
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related disabled=yes
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface=ether9-WAN-E
add action=drop chain=input
Код: Выделить всё
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related
https://prnt.sc/mhgdkx
-
- Сообщения: 560
- Зарегистрирован: 14 апр 2018, 15:21
- Откуда: СССР
Re: Неизвестная запись в System/Scheduler
Фасттрак - убирает прохождение пакетов внутри сети из обработки процессором, что разгружает сам рутер и увеличивает скорость внутри сети
Правила в фаерволе ВСЕГДА имеют значение по очерёдности.
Правила в фаерволе ВСЕГДА имеют значение по очерёдности.
Дома: CCR2004 (7-ISP(GPON)белый IP)
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
Подскажите пожалуйста правильность расположения правил согласно моему листу правил.Sir_Prikol писал(а): ↑06 фев 2019, 17:53 Фасттрак - убирает прохождение пакетов внутри сети из обработки процессором, что разгружает сам рутер и увеличивает скорость внутри сети
Правила в файрволле ВСЕГДА имеют значение по очерёдности.
А почему же в другой моей сети bridge2-NET-E пропадает интернет при добавлении вот этого правила
Код: Выделить всё
/ip firewall filter add chain=input action=drop
Код: Выделить всё
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related
Последний раз редактировалось r136a8 06 фев 2019, 18:13, всего редактировалось 3 раза.
-
- Сообщения: 3915
- Зарегистрирован: 29 фев 2016, 15:26
- Откуда: Минск
Re: Неизвестная запись в System/Scheduler
"Пропадает Интернет" - это что значит? Юзеры ходят в Интернет через chain=forward, и то, что вы блокируете chain=input, вообще не должно влиять на хождение пакетов пользователей в Интернет.
Другое дело, что доступ из локалки к роутеру при необходимости бы оставить (например, если роутер является DNS-сервером для пользователей)
Другое дело, что доступ из локалки к роутеру при необходимости бы оставить (например, если роутер является DNS-сервером для пользователей)
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
При активировании этого правила, выхода в интернет нет только на bridge2-NET-E на bridge1-NET-V все хорошо.Chupaka писал(а): ↑06 фев 2019, 18:10 "Пропадает Интернет" - это что значит? Юзеры ходят в Интернет через chain=forward, и то, что вы блокируете chain=input, вообще не должно влиять на хождение пакетов пользователей в Интернет.
Другое дело, что доступ из локалки к роутеру при необходимости бы оставить (например, если роутер является DNS-сервером для пользователей)
Отшибка Chrome
https://prnt.sc/mhgv1h
Доступ из локалки bridge2-NET-E к роутеро по winbox есть, и к сетевым дискам NAS также.
Очередность моих правил правильная?
Вот эти два я не включаю по причине сильного падения скорости интернета.
Код: Выделить всё
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related
-
- Сообщения: 560
- Зарегистрирован: 14 апр 2018, 15:21
- Откуда: СССР
Re: Неизвестная запись в System/Scheduler
Если вы имеете ввиду свой лист правил:r136a8 писал(а): ↑06 фев 2019, 18:08Подскажите пожалуйста правильность расположения правил согласно моему листу правил.Sir_Prikol писал(а): ↑06 фев 2019, 17:53 Фасттрак - убирает прохождение пакетов внутри сети из обработки процессором, что разгружает сам рутер и увеличивает скорость внутри сети
Правила в файрволле ВСЕГДА имеют значение по очерёдности.
А почему же в другой моей сети bridge2-NET-E пропадает интернет при добавлении вот этого правилаА относительно Фасттрак при активировании этих правил у меня очень падает скорость интернета. По bridge2-NET-E с 75Mb до 2 MB, по bridge1-NET-V с 170Mb до 60 MbКод: Выделить всё
/ip firewall filter add chain=input action=drop
Код: Выделить всё
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \ connection-state=established,related add action=accept chain=forward comment="defconf: accept established,related" \ connection-state=established,related
Код: Выделить всё
/ip firewall filter
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=accept chain=input comment="defconf: accept established,related" connection-state=established,related
add action=reject chain=forward in-interface=bridge1-NET-V out-interface=bridge2-NET-E reject-with=icmp-network-unreachable
add action=reject chain=forward in-interface=bridge2-NET-E out-interface=bridge1-NET-V reject-with=icmp-network-unreachable
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" in-interface=ether9-WAN-E
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related disabled=yes
add action=accept chain=forward comment="defconf: accept established,related" connection-state=established,related disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether9-WAN-E
add action=drop chain=input
Читаем внимательно что написал мой коллега, и тогда правила будут более/менее в порядке
Дома: CCR2004 (7-ISP(GPON)белый IP)
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
Извените но совсем понимаю что мне надо сделать. Я окончательно запутался!
-
- Сообщения: 560
- Зарегистрирован: 14 апр 2018, 15:21
- Откуда: СССР
Re: Неизвестная запись в System/Scheduler
У вас через фаервол фильтруются всего 2 интерфейса (ether1 и ether9) но не фильтруется pptp интерфейс
Дома: CCR2004 (7-ISP(GPON)белый IP)
-
- Сообщения: 201
- Зарегистрирован: 04 дек 2017, 00:01
Re: Неизвестная запись в System/Scheduler
Мне нужно добавить вот такое правило?Sir_Prikol писал(а): ↑06 фев 2019, 19:34 У вас через фаервол фильтруются всего 2 интерфейса (ether1 и ether9) но не фильтруется pptp интерфейс
Код: Выделить всё
/ip firewall filter
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=pptp-out1
Код: Выделить всё
/ip firewall filter
add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
add action=accept chain=input comment="defconf: accept established,related" \
connection-state=established,related
add action=reject chain=forward in-interface=bridge1-NET-V out-interface=\
bridge2-NET-E reject-with=icmp-network-unreachable
add action=reject chain=forward in-interface=bridge2-NET-E out-interface=\
bridge1-NET-V reject-with=icmp-network-unreachable
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
ether9-WAN-E protocol=tcp
add action=accept chain=input comment="Open PPTP" dst-port=1723 in-interface=\
ether1-WAN-V protocol=tcp
add action=accept chain=input comment="Open PPTP" in-interface=ether1-WAN-V \
protocol=gre
add action=accept chain=input comment="Open PPTP" in-interface=ether9-WAN-E \
protocol=gre
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=ether1-WAN-V
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=ether9-WAN-E
add action=drop chain=input
add action=drop chain=input comment="defconf: drop all from WAN" \
in-interface=pptp-out1
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related disabled=yes
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface=ether1-WAN-V
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface=ether9-WAN-E
Код: Выделить всё
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related" \
connection-state=established,related
Код: Выделить всё
/ip firewall filter add chain=input action=drop
Код: Выделить всё
/ip firewall nat
add action=dst-nat chain=dstnat dst-port=53 protocol=udp src-address-list=\
Kids-List to-addresses=77.88.8.7
add action=dst-nat chain=dstnat dst-port=53 protocol=tcp src-address-list=\
Kids-List to-addresses=77.88.8.3
add action=dst-nat chain=dstnat dst-port=53 protocol=udp src-address-list=\
Parents-List to-addresses=176.103.130.130
add action=dst-nat chain=dstnat dst-port=53 protocol=tcp src-address-list=\
Parents-List to-addresses=176.103.130.130
-
- Сообщения: 560
- Зарегистрирован: 14 апр 2018, 15:21
- Откуда: СССР
Re: Неизвестная запись в System/Scheduler
У вас на рутере какая-то каша не понятная, на сейчас я совсем запутался каким образом вы получаете интернет, как его раздаётё внутри сети, как разделили на подсети и что с маркировкой маршрутизации.
По сути (мне так кажется) у вас понапихано толпа разных правил из разных источников, причём напихано бездумно. Тут разгребать и разгребать
По сути (мне так кажется) у вас понапихано толпа разных правил из разных источников, причём напихано бездумно. Тут разгребать и разгребать
Дома: CCR2004 (7-ISP(GPON)белый IP)